Creare un modello di SOP per la risposta agli incidenti relativi a un'identità compromessa

Usa questo modello SOP per creare una procedura operativa standard (SOP) riutilizzabile per incidenti di identità compromessi. Sostituisci ogni segnaposto con i valori specifici dell'organizzazione prima di pubblicare o caricare il SOP.

Prerequisiti

Prima di personalizzare o pubblicare questa SOP, conferma i seguenti prerequisiti:

• Conferma chi è il proprietario della SOP e chi può approvare le modifiche nella tua organizzazione.
• Verifica che i tuoi analisti possano accedere ai dati SigninLogs e a qualsiasi altra fonte a cui fa riferimento la SOP.
• Se intendi caricare l'SOP come guida, consulta i tipi di file supportati, i limiti di dimensione e i requisiti di autorizzazione in Personalizzare le risposte agli incidenti per la tua organizzazione.
• Mantieni la guida incentrata sul testo. Evitare screenshot, grafici e formattazioni complesse che potrebbero ridurre la qualità dell'estrazione del testo.

Metadati SOP

Registra il proprietario della SOP, l'ambito e le fonti dati nei seguenti campi di metadati.

• Nome:<Compromised identity incident response SOP>
• Versione:<v1.0>
• Proprietario:<Security operations team>
• Si applica a:<location>
• Origini dati primarie:SigninLogs , <Defender XDR incident data><Identity provider logs>, <Email telemetry>, e<Endpoint telemetry>

Purpose

Utilizzare la SOP di risposta per incidenti di identità compromessa per triagere, contenere, indagare, rimediare e prevenire incidenti che indicano un'identità compromessa. Personalizzare l'ambito, i punti decisionali e i percorsi di escalation in modo che gli analisti possano rispondere in modo coerente durante gli eventi imprevisti che influiscono su <User>, <Group>o <Business unit>.

Condizioni di attivazione (quando attivare questa SOP)

Invoca la SOP di risposta a incidenti di identità compromessa quando un incidente, un avviso o un rapporto utente suggerisce che un'identità potrebbe essere compromessa.

• Gli esempi di avviso includono Impossible travel, Unfamiliar sign-in propertiesPassword spray, MFA fatigue, e Suspicious inbox forwarding rules.
• Invoca la SOP di risposta a incidenti di identità compromessa quando <User> segnala richieste MFA impreviste, notifiche di accesso sospette o modifiche all'account che non hanno effettuato.
• Invoca la SOP di risposta agli incidenti di identità compromessa quando gli analisti osservano effettui di accesso riusciti da luoghi insoliti, indirizzi IP rischiosi o applicazioni sconosciute.

Fase di triage

Iniziare con controlli rapidi che confermano se l'attività di accesso è prevista o sospetta.

Convalidare l'attività di accesso

Rivedere gli eventi di accesso recenti per l'identità interessata. Sostituire il filtro utente prima di eseguire la query.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where TimeGenerated > ago(48h)
| project TimeGenerated, IPAddress, Location, AppDisplayName, AuthenticationRequirement, ConditionalAccessStatus, ClientAppUsed

1. Confrontare gli orari di accesso, gli indirizzi IP, le posizioni e le applicazioni con la sequenza temporale degli eventi imprevisti.
2. Evidenziare gli accessi riusciti che l'utente o il manager non può spiegare.
3. Registrare il primo evento sospetto, l'evento sospetto più recente e gli account o le app coinvolti.

Esaminare gli indicatori di compromissione delle credenziali

Usare una visualizzazione di riepilogo per determinare se l'account mostra un modello di errori ripetuti seguito dall'accesso riuscito.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where TimeGenerated >= ago(7d)
| summarize
    Failures = countif(ResultType != 0),
    Successes = countif(ResultType == 0)
    by IPAddress, bin(TimeGenerated, 1h)

1. Individuare raffiche di tentativi di accesso non riusciti, seguite da uno o più tentativi di accesso riusciti.
2. Si noti se lo stesso indirizzo IP, la posizione o l'applicazione vengono visualizzati in più bucket di tempo.
3. Registra se lo schema corrisponde a password spray, credential stuffing, furto di token o a un'altra tecnica sospetta.

Convalidare con l'utente

Valida direttamente l'attività sospetta con l'utente interessato prima di decidere le prossime azioni.

1. Contattare <User> attraverso un canale approvato.
2. Chiedere se riconoscono gli accessi, le posizioni, i dispositivi, le applicazioni e le richieste di autenticazione a più fattori.
3. Chiedi se di recente hanno approvato una richiesta MFA, inserito le credenziali in una finestra di richiesta, condiviso un dispositivo o viaggiato.
4. Registrare la risposta dell'utente nel record dell'incidente.

Fase di contenimento

Contenere il rischio prima di completare l'analisi completa, ma applicare prima la logica di approvazione specifica dell'organizzazione.

Convalidare l'identità

1. Controllare se l'identità è un'entità servizio o un'altra identità non umana (NHI). In tal caso, sospendere qualsiasi azione diretta di disattivazione account e comunicare <Service owner> prima di ruotare i segreti, revocare l'accesso o disattivare l'identità.
2. Controllare se l'identità è un account di emergenza. In caso affermativo, inviare una notifica <Identity team lead> e <Incident commander> prima di intervenire e non disabilitare mai l'account senza autorizzazione esplicita.
3. Controllare se l'utente interessato è senior leadership, assistente esecutivo o un altro profilo ad alta sensibilità. In caso affermativo, avvisare <Incident commander> e <Communications lead> prima di contattare l'utente o intraprendere azioni che potrebbero causare disagi.

Contenere l'identità

Utilizzare le seguenti azioni per contenere l'identità compromessa preservando le prove e minimizzando le interruzioni aziendali.

1. Revocare le sessioni attive e aggiornare i token per <user@company.com>.
2. Forzare la reimpostazione della password o la rotazione dei segreti in base al tipo di identità.
3. Disabilitare temporaneamente l'account se il rischio rimane attivo e l'approvazione aziendale lo consente.
4. Blocca indirizzi IP dannosi noti, dispositivi, applicazioni o token quando gli strumenti supportano tali azioni.
5. Conservare le prove, inclusi gli ID degli incidenti, gli avvisi, gli screenshot di accesso o le esportazioni e le dichiarazioni degli utenti.

Fase di indagine

Utilizzare la fase di indagine per identificare il probabile punto di ingresso, validare le lacune di controllo e definire il raggio dell'esplosione.

Eseguire l'analisi della causa radice

Usare gli accessi effettuati con successo per identificare dove l'attaccante ha ottenuto l'accesso e quale percorso dell'applicazione ha usato.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where ResultType == 0
| order by TimeGenerated asc
| take 10

1. Individua il primo accesso riuscito confermato che appare malevolo.
2. Confronta l'accesso effettuato con l'orario dell'avviso, la dichiarazione dell'utente ed eventuali indicatori di phishing o di password spraying.
3. Documenta la causa principale sospetta, ad esempio phishing, riutilizzo delle password, attività adversary-in-the-middle, furto di token o affaticamento da MFA.

Valutare MFA

Esaminare lo stato e il comportamento della MFA per determinare se i controlli di autenticazione hanno fallito o sono stati bypassati.

1. Determinare se l'autenticazione a più fattori è stata abilitata per <user@company.com> al momento dell'evento imprevisto.
2. Verificare se l'utente malintenzionato ha completato l'autenticazione a più fattori, ha aggirato l'autenticazione a più fattori o ha registrato un nuovo metodo di autenticazione.
3. Identificare le lacune nell'accesso condizionale, nei punti di forza di autenticazione, nella protezione dei token o nei controlli di registrazione.
4. Registrare se è necessario reimpostare i metodi MFA o esaminare le modifiche MFA recenti.

Analizzare il raggio e l'impatto dell'esplosione

Valuta l'ambito di accesso e il potenziale impatto sul business prima di chiudere l'indagine.

1. Esaminare le prove degli eventi imprevisti per l'accesso a posta elettronica, file, strumenti di collaborazione, risorse cloud o ruoli con privilegi.
2. Controllare l'eventuale presenza di regole di posta in arrivo sospette, regole di inoltro, concessioni di consenso, accesso alla cassetta postale, movimento laterale o escalation dei privilegi.
3. Identificare account, dispositivi, applicazioni e carichi di lavoro correlati a cui ha eseguito l'accesso all'identità compromessa.
4. Stimare l'impatto aziendale, l'esposizione dei dati e i requisiti normativi o legali per la creazione di report.

Fase di correzione

Completa le azioni che rimuovono la persistenza dell'attaccante e riportano l'identità a uno stato attendibile.

Rimediare e recuperare

1. Reimpostare la password, ruotare i segreti e richiedere un nuovo accesso per tutte le sessioni attive.
2. Rimuovere regole di posta in arrivo dannose, regole di inoltro, consenso dell'app OAuth o metodi di autenticazione non autorizzati.
3. Ripristinare le impostazioni MFA approvate e registrare nuovamente i metodi di autenticazione, se necessario.
4. Eseguire l'analisi o ricreare l'immagine dei dispositivi interessati se si sospetta una compromissione dell'endpoint.
5. Esaminare le assegnazioni di ruolo, le appartenenze ai gruppi e le autorizzazioni dell'applicazione e rimuovere l'accesso non autorizzato.
6. Aggiornare il record dell'incidente con le azioni completate, i responsabili, i timestamp e le prove.

Fase di prevenzione

Usare le lezioni dell'evento imprevisto per ridurre la probabilità di ricorrenza.

Prevenire la recidiva

1. Applicare mfa resistenti al phishing, criteri di accesso condizionale più avanzati e controlli di rischio di accesso, se disponibili.
2. Disabilitare l'autenticazione legacy e rimuovere account di servizio, applicazioni o credenziali inutilizzati.
3. Migliorare i rilevamenti per accessi insoliti, abuso di MFA, abuso di token, viaggio impossibile e attività di consenso.
4. Fornisci indicazioni mirate di sensibilizzazione per gli utenti a <User>, <Team> o <Business unit> se il phishing o il riutilizzo delle password hanno contribuito all'incidente.
5. Rivedere questa SOP dopo l'evento imprevisto e aggiornare i segnaposto, i percorsi di escalation e le soglie per la propria organizzazione.

Contenuti correlati

• Personalizzare le risposte agli eventi imprevisti per l'organizzazione
• Valutare e analizzare gli incidenti con risposte guidate di Microsoft Copilot in Microsoft Defender
• Guide di classificazione degli avvisi